O que o ATLAS trata, com que fundamento legal e por que o registro dele pode ser conferido.

Esta é uma declaração do próprio controlador sobre o sistema ATLAS: quais dados pessoais ele trata, com que fundamento legal, por quanto tempo, com que medidas de segurança e quais mecanismos tornam o registro conferível por terceiros. Ela cumpre o dever de transparência do art. 6º, VI, e serve de veículo de informação ao público na forma do art. 23, I, da Lei nº 13.709/2018.

O documento descreve o sistema. Não descreve os demais sistemas da Corporação, nem os procedimentos administrativos que acontecem fora dele — uma conferência física na reserva, por exemplo, não é ato do ATLAS e não está aqui.

O inventário abaixo é fechado: o sistema não coleta categoria que não esteja nesta lista.

• Identificação funcional — nome, matrícula, CPF, posto ou graduação, quadro, unidade de lotação, situação funcional, retrato e telefone de contato. Dado pessoal comum (art. 5º, I).
• Formação e habilitação — cursos, capacitações e respectivas validades. É o que decide, no balcão, se o militar pode receber determinado armamento.
• Movimentação de material — cautelas, devoluções, divergências, avarias e manutenções, sempre vinculadas nominalmente a quem retirou, a quem devolveu e a quem operou o terminal.
• Dado pessoal sensível: biometria (art. 5º, II) — o modelo matemático (template) extraído da leitura da impressão digital, armazenado cifrado. A imagem da digital não é armazenada: ela existe apenas na memória do servidor durante a extração e é descartada em seguida — nem no cadastro, nem nas leituras do dia a dia.
• Registros de acesso e de auditoria — identificação do usuário que agiu, ação praticada, instante, endereço IP e identificação do navegador. São eles que tornam o sistema auditável, e são tratados como dado pessoal para todos os efeitos.

O sistema não pendura tudo num artigo só. Cada categoria de dado tem a sua base, e elas são diferentes porque a Lei as trata de modo diferente:

• Dados pessoais comuns (identificação funcional, habilitação e movimentação de material): art. 7º, II — cumprimento de obrigação legal ou regulatória pelo controlador — combinado com o art. 23, que rege o tratamento pelo Poder Público para o atendimento de finalidade pública, na persecução do interesse público e no exercício de competências legais.
• Dado pessoal sensível (biometria): art. 11, II, “a” — tratamento sem consentimento quando indispensável para o cumprimento de obrigação legal pelo controlador. A obrigação, no caso, é o dever de controle, guarda e rastreabilidade de armamento e munição sob responsabilidade da unidade. É esta a base da identificação no balcão e da assinatura da cautela e da devolução, e é a única finalidade para a qual a digital é tratada.
• Fundamento adicional da segurança desse processo: art. 11, II, “g” — garantia da prevenção à fraude e da segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. É o que ampara o mecanismo que recusa a reapresentação de uma leitura já usada. Acessório da hipótese acima, e não finalidade própria: o ATLAS não usa a digital para abrir sessão no sistema — quem tem conta entra com senha.

Quando um órgão público trata dado sensível com dispensa de consentimento nas hipóteses das alíneas “a” e “b” do art. 11, II, a Lei não se contenta com a dispensa: o §2º do mesmo artigo manda dar publicidade a ela, nos termos do art. 23, I — informação em veículo de fácil acesso, preferencialmente no sítio eletrônico, sobre a hipótese legal e a finalidade específica do tratamento. É o caso da biometria de identificação e de assinatura no balcão, fundada na “a”. Esta seção é esse ato, e é o que faz desta página uma obrigação cumprida, e não um folheto institucional.

Princípio sem mecanismo é declaração de intenção. A coluna da direita diz o que existe no sistema; onde o mecanismo é parcial ou não existe, o item remete à seção 15.

O art. 9º exige que o titular saiba, antes, o que vai acontecer com o dado dele — e exige isso qualquer que seja a base legal. No ATLAS, a coleta biométrica só é feita depois da apresentação de um termo de ciência que cobre a finalidade específica, a forma e a duração do tratamento, a identificação e o contato do controlador, o compartilhamento, as responsabilidades e os direitos do art. 18.

O termo não é lido no lugar do militar. O texto é renderizado pelo servidor, exibido ao titular e assinado por ele com o próprio PIN pessoal. Do ato ficam: a versão do texto apresentado, o resumo criptográfico (SHA-256) do arquivo assinado, o instante da assinatura e a identificação de quem operou o terminal.

• A via assinada é arquivada, cifrada, uma única vez. Ela não é regerada para consulta: a geração do documento não é reproduzível byte a byte, e é justamente o casamento entre o arquivo original e o hash registrado que prova qual texto foi assinado.
• Mudou o texto, muda a versão. O registro guarda a versão que cada titular assinou, individualmente. Quando o escopo do tratamento aumenta, o termo é reapresentado; quando ele diminui, não há o que reautorizar, porque nada novo passou a ser feito.
• A recusa é informada: o militar pode não fornecer a digital. Nesse caso, assina no balcão com o PIN pessoal, sem prejuízo funcional. O PIN também vale quando a leitura falha — dedo machucado, ressecado ou sujo é situação comum, e não pode virar impedimento.

• Cifra em repouso, autenticada. O modelo biométrico, a identificação sigilosa de itens do acervo e a via assinada do termo são cifrados com AES-256-GCM. A chave fica em variável de ambiente do servidor, nunca no banco de dados e nunca no repositório de código. Por ser cifra autenticada, conteúdo adulterado falha ao decifrar — não devolve dado plausível.
• Senha e PIN nunca em texto claro. Ambos são armazenados apenas como resumo criptográfico com sal; o sistema não tem como exibi-los, nem para o administrador.
• Canal cifrado. O acesso se dá por HTTPS/TLS, com política de transporte estrito (HSTS) declarada por um ano e estendida aos subdomínios.
• Cabeçalhos de defesa do navegador. A aplicação recusa ser embutida em quadro de outro site, proíbe adivinhação de tipo de conteúdo, restringe o envio de referenciador entre origens e nega o acesso a câmera, microfone e geolocalização.
• Acesso nominal e fechado. Não existe autocadastro. Toda conta é criada pela administração, vinculada a um perfil de permissões e revogável. A verificação de permissão acontece no servidor, tanto na abertura da página quanto na execução de cada operação — esconder um botão não é controle de acesso.
• Freio de força bruta. As tentativas de autenticação são limitadas, com o contador persistido no banco: reiniciar a aplicação não zera o freio.
• Leitura biométrica e PIN não vão para arquivo de log. O registro de diagnóstico do leitor aceita apenas uma lista fechada de campos — dela consta o tamanho da leitura em bytes, nunca o conteúdo —, e a trilha de auditoria grava o cadastro e a revogação de digitais sem o modelo matemático.
• Anti-reapresentação. De cada leitura biométrica consumida guarda-se apenas um número derivado dela, gravado na mesma transação que efetiva o ato e recusado se repetido. Desse número não se obtém a imagem nem o modelo matemático.

O art. 37 obriga o controlador a manter registro das operações de tratamento. No ATLAS esse registro é nominal e cobre três coisas distintas:

• O que foi feito — cada operação relevante entra na trilha de auditoria com o usuário que agiu, a ação, o registro afetado, o instante, o endereço IP e a identificação do navegador.
• Quem olhou o que é sigiloso — ver não é neutro. A identificação de uma pessoa por varredura biométrica contra a base e a leitura da identificação sigilosa de um item do acervo geram linha própria numa tabela de consultas sensíveis, dizendo quem consultou, o que, quando e de onde.
• O que foi recusado — cautela bloqueada por falta de habilitação, por habilitação vencida, por situação funcional, por indisponibilidade do item, por PIN incorreto ou por leitura biométrica que não casou fica gravada com o motivo. Ausência de registro não é prova de que nada aconteceu: um sistema que só grava sucesso não permite reconstituir uma tentativa.

Esta é a seção central da página, e a que mais exige precisão. O valor probatório de um registro eletrônico não vem de o sistema se declarar confiável: vem de quatro propriedades verificáveis, cada uma com o mecanismo que a sustenta.

1. 1.Admissibilidade. O registro é documento eletrônico, meio de prova admitido em juízo (CPC, arts. 369 e 439 a 441). Reproduções eletrônicas de fatos ou de coisas fazem prova plena se a parte contra quem foram exibidas não impugnar a exatidão (CC, art. 225).
2. 2.Autoria. Quem assina o recebimento é o próprio titular, com a digital ou com o PIN pessoal — dado sob controle exclusivo dele, apresentado no momento do ato sobre o texto renderizado pelo servidor. O CPC, art. 411, II, considera autêntico o documento cuja autoria esteja identificada por qualquer outro meio legal de certificação, inclusive eletrônico.
3. 3.Integridade detectável. Cada evento entra na trilha de auditoria carregando o resumo criptográfico (SHA-256) do evento anterior, calculado sobre o conteúdo inteiro do registro — inclusive o instante. Adulterar uma linha quebra a verificação dela e de todas as seguintes, e a cadeia inteira pode ser recalculada a qualquer momento no painel administrativo. Não é uma promessa de que ninguém mexe: é a garantia de que mexer aparece.
4. 4.Imutabilidade imposta pelo banco, não pela aplicação. Nas tabelas probatórias — trilha de auditoria, consultas sensíveis, tentativas recusadas e movimentos de saldo de munição — o próprio banco de dados recusa alteração, exclusão e truncamento por meio de gatilhos. Cautela e devolução efetivadas são imutáveis nos campos que provam o ato, inclusive naquele que diz como o militar assinou; correção se faz por estorno referenciado, que também é imutável. Uma aplicação com defeito, ou um comando manual, esbarram na mesma parede.

O documento em si é tratado do mesmo modo: a via assinada do termo é arquivada uma única vez e o SHA-256 dela fica registrado. Como a geração do arquivo não é reproduzível byte a byte, apenas o arquivo original casa com o hash — reimprimir o documento não produz um substituto.

O titular pode requerer a eliminação do seu cadastro biométrico a qualquer tempo, com fundamento no art. 18, IV, combinado com os arts. 15, I, e 16. Atendido o pedido, as digitais cadastradas são revogadas: deixam de ser comparadas e saem do conjunto usado para identificar pessoas, e o militar passa a assinar no balcão com o PIN pessoal, sem prejuízo funcional. A revogação, seu autor e sua data ficam na trilha de auditoria, que não pode ser alterada.

A supressão do próprio modelo matemático é executada: atendido o pedido, o modelo é anulado no registro, conservando-se apenas o metadado de que ele existiu e foi eliminado — quem era o titular, quando, por ordem de quem e sob qual justificativa —, na forma do art. 16, I. O que resta não permite comparar nem reconstruir a digital: é o vestígio de que o tratamento existiu e terminou, que é justamente o que a lei manda conservar. O titular recebe comprovante do atendimento.

O fundamento invocado é o art. 18, IV, e não o art. 18, VI: o inciso VI trata da eliminação de dados tratados com o consentimento do titular, e a base legal do tratamento biométrico não é o consentimento (seção 3).

A qualquer tempo e sem custo (art. 18, §5º), mediante requerimento à administração da unidade, o titular pode obter:

• I — confirmação da existência de tratamento;
• II — acesso aos dados;
• III — correção de dado incompleto, inexato ou desatualizado;
• IV — anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade com a Lei — inclusive quanto ao cadastro biométrico, observado o alcance descrito na seção 10;
• V — portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
• VI — eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 (o tratamento dos dados deste sistema não se funda em consentimento — sobre a eliminação da digital, o fundamento é o inciso IV, seção 10);
• VII — informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
• VIII — informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa (a base legal do tratamento não é o consentimento; quanto à única manifestação que o termo colhe — a da transferência internacional da via —, a consequência de não fornecê-la está escrita na própria cláusula e disponível no ato: escolhendo a via impressa, entre as três opções apresentadas antes da assinatura, o militar recebe o mesmo documento em papel, na unidade, sem prejuízo);
• IX — revogação do consentimento, nos termos do art. 8º, §5º — aplicável à manifestação sobre a transferência internacional da via (seção 12), que pode ser retirada a qualquer tempo, sem custo, junto à administração da unidade, ratificadas as entregas já feitas.

A confirmação da existência e o acesso são atendidos em formato simplificado, de imediato, ou por declaração completa em até 15 dias contados do requerimento (art. 19, I e II). O titular pode ainda peticionar diretamente à autoridade nacional de proteção de dados (art. 18, §1º).

O dado biométrico não é compartilhado com ninguém e não sai do sistema: ele não é enviado a outro órgão, a outra base ou a empresa alguma, não é vendido, cedido nem usado para finalidade diversa. O mesmo vale para o cadastro funcional e para o histórico de movimentação.

O ATLAS é executado em servidor contratado junto à Oracle Cloud Infrastructure — São Paulo — portanto em território nacional. O provedor de infraestrutura é operador na acepção do art. 5º, VII: mantém a máquina e só pode tratar os dados segundo as instruções do controlador (art. 39), sem uso próprio. A responsabilidade do controlador e do operador é a do art. 42.

Vale a distinção, porque ela costuma ser dita de forma imprecisa: a cifra em repouso protege o dado no disco — contra a cópia extraviada, o descarte de hardware e o acesso ao volume desligado. Ela não torna o dado inacessível a quem administra a máquina em execução, porque a chave precisa estar disponível para a aplicação funcionar. O que separa o operador do conteúdo é a vedação do art. 39 e o contrato, não uma impossibilidade matemática — e é assim que a lei organiza essa relação.

Ocorrendo incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador comunicará o fato à autoridade nacional e aos titulares afetados, em prazo razoável, mencionando no mínimo a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente, os motivos da demora caso a comunicação não tenha sido imediata e as medidas adotadas ou a adotar para reverter ou mitigar os efeitos do prejuízo (art. 48, §1º, I a VI).

A cifra em repouso é relevante nesse juízo: o art. 48, §3º, manda a autoridade considerar a comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados afetados ininteligíveis, no âmbito e nos limites técnicos dos serviços, para terceiros não autorizados a acessá-los. É também por isso que a imagem da digital não é armazenada — não se perde o que não se guarda, e nenhum incidente pode expor um arquivo que não existe.

O plano formal de resposta a incidentes ainda não está documentado. A pendência consta da seção 15.

Esta página descreve o que o sistema faz. Para que ela não seja lida além do que diz, registram-se expressamente as afirmações que não estão sendo feitas:

• O ATLAS não é certificado, homologado, auditado ou validado por qualquer órgão, entidade certificadora ou empresa de auditoria, e não existe laudo ou parecer de terceiro a seu respeito.
• Não emprega certificado digital ICP-Brasil; sua assinatura eletrônica não é qualificada (Lei nº 14.063/2020, art. 4º, III).
• Não possui registro, aprovação ou manifestação da autoridade nacional de proteção de dados sobre ele.
• Não substitui ato normativo da Corporação — a definição do nível mínimo de assinatura eletrônica admitido cabe ao art. 5º da Lei nº 14.063/2020.
• Não garante inviolabilidade. Garante medidas de segurança (art. 46) e registro de todo acesso (art. 37), de modo que uma violação deixe rastro detectável.
• Não afirma ser impossível reconstruir uma digital a partir do modelo matemático. Afirma que a imagem não é armazenada e que o modelo é usado exclusivamente para comparar leituras dentro deste sistema.
• Não emite carimbo do tempo por terceira parte confiável, e não apresenta a hora registrada como aferida por autoridade independente do controlador.
• Não é, e não deve ser lida como, parecer jurídico sobre a validade de qualquer prova em processo determinado.

Em atenção ao princípio da responsabilização e prestação de contas (art. 6º, X), registram-se pendências conhecidas nesta data. Elas estão aqui pelo mesmo motivo que o resto: um documento público que reivindica o art. 46 enquanto omite uma falha conhecida deixa de ser prova a favor da instituição e passa a ser prova contra ela.

• Encarregado (art. 41) — não há, até esta data, ato formal de designação de encarregado pelo controlador. O atendimento ao titular é feito pela administração da unidade.
• Relatório de impacto à proteção de dados pessoais (art. 38) — não elaborado. Tratando-se de dado pessoal sensível biométrico, sua elaboração é recomendada.
• Plano de resposta a incidentes (art. 48) — não documentado formalmente.
• Retirada do consentimento sem expressão técnica (art. 8º, § 5º) — a manifestação do titular é colhida na assinatura, com o PIN dele, e o sistema a faz valer depois do ato: reenviar pelo canal que ele assinou não exige nada, trocar de canal exige o PIN dele outra vez, e sem registro do que ele escolheu não se reenvia por canal nenhum (seção 12). O que não existe é o caminho inverso — não há onde registrar que o consentimento foi retirado. A primeira linha do livro de entregas é imutável e é ela que guarda o que o titular consentiu; quem assinou o WhatsApp e depois não o quiser mais depende de a administração da unidade deixar de usá-lo, e não de um bloqueio que o sistema imponha. A retirada do art. 8º, § 5º é, portanto, procedimento junto à administração, e não controle técnico. Quem escolheu a via impressa está, esse sim, tecnicamente resguardado: qualquer envio eletrônico da via que ele assinou exige a presença dele — o portão vale por termo assinado, e um termo novo recomeça a contagem com a escolha que ele fizer nele.
• A entrega eletrônica do comprovante de eliminação não colhe manifestação (art. 33) — atendido o pedido de eliminação (seção 10), o titular recebe um comprovante com o seu nome, a sua matrícula e o registro do que foi eliminado. A tela dessa entrega apresenta os três canais, nenhum pré-marcado, com a via impressa entre eles — e, escolhida ela, não há envio nem transferência de espécie alguma. Escolhido um canal eletrônico, porém, o documento sai por serviço de terceiro, e no WhatsApp isso é transferência internacional: nada do que o titular responder fica registrado como manifestação dele — a tela manda perguntar, mas quem confirma o ato é o administrador, com a senha dele, e a cláusula destacada do termo cobre a entrega da via do termo, e só ela. Enquanto for assim, a via impressa é o caminho desta entrega em que a questão não chega a se pôr.
• Residência do provedor de envio de e-mail (arts. 33 e 39) — a via eletrônica sai por provedor especializado de envio. A residência dos dados nesse trânsito e o instrumento contratual que o vincula como operador não estão documentados, e por isso a página trata o e-mail como canal que pode implicar transferência internacional, e não como canal nacional. Verificado em 14/08/2026: nenhuma via foi entregue até esta data — o registro de entregas está vazio, e o servidor de produção não tem nenhum dos dois canais configurado.
• Âncora externa da trilha de auditoria — o encadeamento por hash torna detectável a adulteração de qualquer registro já gravado. A publicação periódica do último hash da cadeia em registro externo ao servidor, com data, estenderia essa detecção também à hipótese de reconstrução integral da cadeia por quem detivesse privilégio administrativo sobre o banco. A medida está prevista e ainda não foi implantada.
• Carimbo do tempo — a hora dos atos é a do servidor, protegida pelo encadeamento (seção 9), e não carimbo emitido por terceira parte confiável.
• Política de segurança de conteúdo (CSP) — o navegador recebe os demais cabeçalhos de defesa descritos na seção 7, mas ainda não uma política de segurança de conteúdo.
• Verificação pública do termo de ciência — o termo de cautela possui página pública de conferência por QR Code; o termo de ciência biométrica ainda não, e sua conferência depende da administração da unidade (seção 16).

Três conferências são possíveis, e elas não são a mesma coisa — confundi-las levaria a procurar uma verificação onde ela não existe:

• Termo de cautela — cada termo traz um QR Code que abre uma página pública de verificação, sem login, onde se confere o número da cautela, a data, a situação e o resumo do material. Quem tem o documento em mãos confere sozinho.
• Trilha de auditoria — a integridade do encadeamento pode ser verificada a qualquer momento no painel administrativo, que recalcula a cadeia inteira e aponta a primeira linha divergente, se houver.
• Termo de ciência biométrica — não possui página pública de verificação. A conferência é feita pela administração da unidade, comparando o resumo criptográfico (SHA-256) do arquivo recebido pelo titular com o que está registrado no sistema. A criação de uma verificação pública para este documento consta da seção 15.